[OSweep™]

Не просто ищите OSINT. Прочешите его.

Описание

Если вы работаете в сфере IT-безопасности, вы, скорее всего, используете OSINT, чтобы понять, на что обратил ваше внимание SIEM и что об этом знают все остальные в мире. Скорее всего, вы используете более одного OSINT-сервиса, потому что в большинстве случаев OSINT предоставляет отчеты только на основе последнего анализа IOC. Для кого-то этого достаточно. Они создают сетевые и почтовые блокировки, добавляют новые правила для IDS/IPS, обновляют контент в SIEM, создают новые оповещения для мониторов в Google Alerts и DomainTools и так далее. Другие же развертывают те же контрмеры на основе отчетов от сторонних инструментов, за которые компания платит ТЫСЯЧИ долларов.

Проблема обоих подходов в том, что аналитику нужно копнуть немного глубже (например, ПОЛНОСТЬЮ деобфусцировать команду PowerShell, найденную в вредоносном макросе), чтобы собрать все IOC. А что, если дополнительные IOC, на которых вы основываете свой анализ, не имеют ничего общего с тем, что верно для этого сайта сегодня? А потом вас взламывают? И затем возникают вопросы от руководства...

Понимаете, к чему это ведет? Вы получите увольнительную и вас выведут из здания, чтобы вы начали искать другую работу в другой сфере.

Так почему вас взломали? Вы знаете, что если бы вы потратили время на ручной сбор всех IOC для этого одного оповещения, это заняло бы половину смены, и вас бы все равно взломали.

Решение? OSweep™.